第21回 第2部 第51問

NAPTを利用することにより、簡易的なファイアウォールの効果を期待できる。この理由として、もっとも適切なものを1つ選びなさい。

ａ． 外部からのパケットを、すべて特定のIPアドレスのホストに転送するため
ｂ． 外部からのパケットを、内部ネットワークとは別に設けたセグメントのホストに接続するため
ｃ． 外部からの攻撃を検知し、攻撃元からのアクセスを自動的に遮断するため
ｄ． 外部からのパケットを、変換表に登録されたIPアドレス及びポート番号に対する通信のみ内部ネットワークに転送するため

「NAPTって前にも聞いたことあるような無いような・・・。」


「NAPTの基本的な機能は覚えてるかな？」


「えっと・・・複数のＰＣをインターネットにつなぐ時に、各ＰＣのプライベートIPアドレスを一つのグローバルIPアドレスに変換するんだっけ？」

「そうだよ！よく覚えていたね。今回の設問はその応用編になるんだ。」
「まずNAPT機能が備わっている機械っていうと何か分かるかな？」


「ルーターだよね？」


「そう！ルーターには変換表というものが中に入っていてその変換表を元に外部から来たパケットを内部に転送するかどうか決める決定権があるんだ！」

「変換表がどんなふうになっているのか、もっとイメージしやすく教えてー。」



～～～～～～～～～～～～～～～～～～～～～～

「良いだろう。」
「まずは、前提として、LANの内側にはＰＣが複数あるという事をしっかりイメージしておいてね。」

「それぞれのＰＣには、別々なプライベートIPアドレスが設定されているんだよね。」


「そうだね。でもプライベートIPアドレスじゃインターネット上のサーバーや端末とは通信できないから、グローバルIPアドレスが必要だ。」

「ルーターのWAN側アドレスに一旦変換されるんだよね。」


「よく知ってるじゃないか。」
「でも複数のPCが同時に通信していて、しかもそれぞれのPCで同じサイトを見たらどうなるかな？」

「う～ん、サーバーから返ってくるデータはルーターのＷＡＮ側アドレスに向けて返ってくるから、ＬＡＮ内部のどのＰＣにデータを渡せば良いかルーターが困っちゃうね。」

「だからＩＰアドレスの変換だけじゃなくて、ポートも利用して管理テーブルに記録するんだ。それが変換表なんだ。」

「だんだん、具体的になってきたね。」


「たとえば『ＰＣ①のｗｅｂブラウザ』はプライベートＩＰアドレス①のポート①でデータが返ってくるのを待っていて、『ＰＣ②のブラウザ』はプライベートアドレス②のポート②でデータが返ってくるのを待っているとするよね。」
「ルーターでは、それぞれのＩＰアドレスをルーターのＷＡＮ側のＩＰアドレスに変換して、更にポートの番号も任意のポート番号に変換しちゃうんだ。」
「そして、それを変換表に記録する。ここ重要ね。」

「記録してないと後で困るんだね。」


「たとえば、さっきの例だとＰＣ①のプライベートＩＰアドレス①とポート①はルーターのＷＡＮ側ＩＰアドレスとルーターのポート③に、ＰＣ②のプライベートアドレス②とポート②はルーターのＷＡＮ側ＩＰアドレスとルーターのポート④に。」

「へぇ～、跡形もなく変わっちゃうんだね。」


「跡形もなく変えちゃうか、重複しない限りは極力変えないかはルーターの機種によって違うらしいけど、まぁここでは分かりやすくガラっと変えちゃうとしよう。」
「でも変換表には、こういう内容で変換しましたってのが記録されているから、サーバーからルーターのポート③にデータが返ってくれば、変換表から逆にたどって、これがＰＣ①のポート①に返せば良い事がわかるんだ。」

「なるほど～、それで無事ＰＣ①のブラウザにデータが届くんだね。」


「ウラを返せば、この変換表に乗ってないポート宛てに外部から通信が来ても通さないんだ。」

「それが簡易ファイアウォールの効果って事？」


「そうだね。ファイアウォールは簡単に言うとＰＣとインターネットの間に設置される外部からの侵入者（不正パケット）を防ぐ仕組みの事だけど、ＮＡＰＴ機能でも万全ではないにしてもある程度は不正に入ってこようとするパケットを防げるって事だね。」

「なるほど！じゃあｄは正解なんだね！」


「そうだね！」



～～～～～～～～～～～～～～～～～～～～～～


「この他に外部から入ってくる通信にＬＡＮ内のＰＣをさらさないようにする簡易DMZという機能もちょっと説明しておこう。」

「また難しい名前が出てきた・・・。」


「ははは。詳しいことを説明すると混乱するだろうから簡単に説明すると、簡易DMZは外部から入ってくるパケットを特定のホストに転送をする仕組みなんだ。」

「そうすると、どうなるの？」


「外からは転送先のホスト（公開用のサーバーとか）だけが見えるようになるんだ。」
「クレーマーからの電話は全て本社の担当者に転送するみたいな感じだね。」

「選択肢の ａ で言ってるのは、これのことかぁ～。」



「ただし、『簡易』とついていることからもわかるように、本格的なＤＭＺとはちょっと違ってね。」
「本格的なＤＭＺはＬＡＮ内部とインターネットの中間に設置されて、ＬＡＮ内部とも独立した空間になるんだけど、簡易ＤＭＺの方はＬＡＮ内部の特定のホストを公開しちゃうので、そのホストが乗っ取られるとＬＡＮ内の全てのホストが危険にさらされる可能性もあるんだ。」

「え～！？じゃあセキュリティ関しては特に注意が必要だね。」


「ちなみに、簡易ＤＭＺで可能なのは選択肢ａ,ｂだけどｃの選択肢に攻撃検知機能という言葉もあるね。」

「うわー！またわからない用語がでてきたぁ・・・。」


「一度に言うと分からなくなるだろうから今日はここまでにしよう！攻撃検知機能については過去問の解説にも説明があるからよく読んでおくように！」


「わかりました～。」






【 第21回 第2部 第51問 解答＆解説 】
［解答］d
［解説］
ａ． 誤り。簡易DMZ機能の説明である。
ｂ． 誤り。簡易DMZ機能の説明である。
ｃ． 誤り。攻撃検知機能の説明である。
ｄ． 正しい。NAPTによる簡易ファイアウォール機能の説明である。NAPT有効時には、変換表に登録されているポート以外への外部からのアクセスは、内部ネットワークに転送されない。